(1) Soweit zur Verhinderung von Geldwäsche und Terrorismusfinanzierung unbedingt erforderlich, dürfen Verpflichtete die in Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 genannten besonderen Kategorien personenbezogener Daten sowie die in Artikel 10 jener Verordnung genannten personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten verarbeiten, sofern dabei die in den Absätzen 2 und 3 dieses Artikels vorgesehenen Sicherheitsmaßnahmen getroffen sind.
(2) Verpflichtete dürfen die unter Artikel 9 der Verordnung (EU) 2016/679 fallenden Daten verarbeiten, sofern
| a) | sie ihre Kunden oder angehenden Kunden darüber unterrichten, dass diese Kategorien von Daten verarbeitet werden können, um die Anforderungen der vorliegenden Verordnung zu erfüllen; |
| b) | die Daten aus verlässlichen Quellen stammen und zutreffend und auf dem neusten Stand sind; |
| c) | sie keine Entscheidungen treffen, die auf der Grundlage dieser Daten zu verzerrten und diskriminierenden Ergebnissen führen würden; |
| d) | sie, insbesondere im Hinblick auf Vertraulichkeit, Maßnahmen mit hohem Sicherheitsstandard gemäß Artikel 32 der Verordnung (EU) 2016/679 trifft. |
(3) Die Verpflichteten können personenbezogene Daten gemäß Artikel 10 der Verordnung (EU) 2016/679 verarbeiten, sofern sie die in Absatz 2 dieses Artikels festgelegten Bedingungen erfüllen und
| a) | diese personenbezogenen Daten Geldwäsche, damit zusammenhängende Vortaten oder Terrorismusfinanzierung betreffen; |
| b) | die Verpflichteten über Verfahren verfügen, die es erlauben, bei der Verarbeitung dieser Daten zwischen Vorwürfen, Ermittlungen, Verfahren und Verurteilungen zu unterscheiden, und dem Grundrecht auf ein faires Verfahren, dem Recht auf Verteidigung und der Unschuldsvermutung Rechnung tragen. |
(4) Personenbezogene Daten dürfen von Verpflichteten auf der Grundlage dieser Verordnung ausschließlich für die Zwecke der Verhinderung von Geldwäsche und Terrorismusfinanzierung verarbeitet werden und dürfen nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist. Es ist untersagt, personenbezogene Daten auf der Grundlage dieser Verordnung für kommerzielle Zwecke zu verarbeiten.
(5) Verpflichtete können Entscheidungen treffen, die sich aus automatisierten Verfahren, einschließlich Profiling im Sinne von Artikel 4 Nummer 4 der Verordnung (EU) 2016/679, oder aus Verfahren ergeben, bei denen Systeme der KI im Sinne von Artikel 3 Nummer 1 der Verordnung (EU) 2024/xxx des Europäischen Parlaments und des Rates (45) zur Anwendung kommen, sofern
| a) | die von solchen Systemen verarbeiteten Daten auf Daten beschränkt sind, die gemäß Kapitel III der vorliegenden Verordnung erlangt wurden; |
| b) | alle Entscheidungen in Bezug auf die Aufnahme einer Geschäftsbeziehung mit einem Kunden, die Verweigerung der Aufnahme derselben oder die Unterhaltung derselben, auf die Ausführung einer gelegentlichen Transaktion für einen Kunden oder die Verweigerung der Ausführung derselben oder auf die Ausweitung oder Einschränkung des Umfangs der gemäß Artikel 20 der vorliegenden Verordnung angewandten Sorgfaltsmaßnahmen gegenüber Kunden einem sinnvollen menschlichen Eingreifen unterliegen, um die Richtigkeit und Angemessenheit dieser Entscheidungen sicherzustellen, und |
| c) | der Kunde eine Erklärung zu der vom Verpflichteten getroffenen Entscheidung erhalten und diese Entscheidung anfechten kann, außer in Verbindung mit einer Meldung gemäß Artikel 69 der vorliegenden Verordnung. |